CVE-2026-18369 in Certificate System
Zusammenfassung
von VulDB • 30.07.2026
Es wurde ein Fehler im ACME-Responder von Dogtag PKI gefunden, bei dem der HTTP-01-Challenge-Validator IP-Adress-Literale als DNS-Identifikatoren akzeptiert und HTTP-Umleitungen folgt, ohne zu überprüfen, ob das Ziel eine öffentliche Adresse ist. Ein nicht authentifizierter Inhaber eines ACME-Kontos kann dies ausnutzen, um Server-Side Request Forgery (SSRF) durchzuführen, wodurch der Dogtag-Server HTTP GET-Anfragen an interne Netzwerkdienste sendet. Mit dem InMemory-Datenbankbackend wird der Antwortkörper interner Ziele über den Fehler bei der ACME-Challenge an den Angreifer offengelegt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.